Kişisel Veri Saklama ve İmha Politikası

Bu Politikada geçen temel kavramlar aşağıdaki anlamları taşır:

Bu Politikada tanımı bulunmayan kavramlar için KVKK ve Yönetmelikteki tanımlar geçerlidir.

Kişisel veriler, aşağıda örneklenen kayıt ortamlarında güvenli biçimde saklanır:

• Veri tabanı sunucuları: yapılandırılmış ilişkisel veri tabanı (üyelik, sipariş, fatura, yorum, abonelik gibi kayıtlar)
• Dosya tabanlı kayıt sistemleri: uygulama sunucusunda JSON/JSONL biçiminde tutulan kayıtlar (ör. talep/lead kayıtları, kariyer başvuruları ve yüklenen belgeler)
• Uygulama ve güvenlik log kayıtları: erişim, işlem ve hata kayıtları
• Bulut ve üçüncü taraf hizmetleri: ödeme, e-posta gönderimi, analitik, güvenlik ve arama gibi veri işleyen hizmetleri
• Yedekleme ortamları: felaket kurtarma amaçlı yedekler
• Fiziksel ortam: basılı belge, sözleşme ve arşiv (varsa)

Güvenlik gereği, IP adresi ve cihaz/oturum bilgisi gibi işlem güvenliği verileri mümkün olan durumlarda ham hâlde değil, geri döndürülemez özet (hash) biçiminde saklanır.

Kişisel veriler, KVKK m.5 ve m.6'daki işleme şartlarına dayanılarak ve aşağıdaki sebeplerle saklanır:

• Üyelik ve hizmet sözleşmesinin kurulması ve ifası (KVKK m.5/2-c)
• Dijital hizmet/paket satışı, sipariş, fatura ve abonelik süreçlerinin yürütülmesi
• İlgili mevzuatta öngörülen saklama yükümlülüklerinin yerine getirilmesi (213 sayılı Vergi Usul Kanunu m.253, 6102 sayılı Türk Ticaret Kanunu m.82 uyarınca defter ve belgelerin saklanması)
• Ticari elektronik ileti onaylarına ilişkin 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve İleti Yönetim Sistemi (İYS) yükümlülükleri
• Erişim ve işlem kayıtlarına ilişkin 5651 sayılı Kanun kapsamındaki yükümlülükler
• Olası uyuşmazlıklarda bir hakkın tesisi, kullanılması veya korunması ile ispat yükümlülüğü (KVKK m.5/2-e; 6098 sayılı Türk Borçlar Kanunu zamanaşımı süreleri)
• Bilgi güvenliği, dolandırıcılık ve kötüye kullanımın tespiti ile önlenmesine yönelik meşru menfaat (KVKK m.5/2-f)
• İlgili kişinin açık rızasının bulunması (KVKK m.5/1; ör. bülten, analitik çerezler, kariyer başvurusu belgeleri)

Kişisel veriler, aşağıdaki hâllerin ortaya çıkması durumunda; ilgili kişinin talebi üzerine veya resen silinir, yok edilir ya da anonim hâle getirilir (KVKK m.7, Yönetmelik m.8):

• İşlenmesine esas teşkil eden hukuki sebebin ortadan kalkması ve başka bir hukuki sebebin bulunmaması
• İşlemenin açık rızaya dayalı olduğu hâllerde rızanın geri çekilmesi
• İşleme amacının gerçekleşmesi, ortadan kalkması veya söz konusu amaç bakımından işlemenin gereksiz hâle gelmesi
• İlgili kişinin, KVKK m.11 kapsamındaki silme/yok etme talebinin kabul edilmesi
• Verinin işlenmesini gerektiren azami sürenin veya mevzuatta öngörülen saklama süresinin dolması
• İşlemenin KVKK'ya aykırı olduğunun tespit edilmesi

Hukuki sebebin ortadan kalkmasına rağmen bir başka mevzuat verinin saklanmasını zorunlu kılıyorsa (ör. mali kayıtlar), yalnızca ilgili amaç için ve o mevzuattaki süreyle sınırlı olarak saklamaya devam edilir; erişim kısıtlanır.

Aşağıdaki tabloda, veri kategorilerine göre saklama süreleri ve dayanakları yer alır. Süreler, işleme amacının gerektirdiği süre ile mevzuatta öngörülen azami süreden hangisi daha uzunsa ona göre uygulanır; süre sonunda ilk periyodik imha döneminde imha gerçekleştirilir.

Mevzuatta bir değişiklik olması hâlinde güncel süreler esas alınır ve bu tablo revize edilir.

Saklama süresi sona eren kişisel veriler, ortamın niteliğine ve işleme durumuna göre aşağıdaki yöntemlerden biriyle imha edilir (Yönetmelik m.10, m.11, m.12):

1. Silme Verinin ilgili kullanıcılar bakımından hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesidir. Uygulanan yöntemler: - Veri tabanı kayıtlarının silinmesi veya ilgili alanların kalıcı olarak boşaltılması - Dosya tabanlı kayıtlarda (JSON/JSONL) ilgili kaydın çıkarılması - Erişim yetkilerinin kaldırılması, kaydın aktif kullanımdan çıkarılması ve maskeleme

2. Yok Etme Verinin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve kullanılamaz hâle getirilmesidir. Uygulanan yöntemler: - Yüklenen belge ve dosyaların (CV, doğrulama belgeleri, fatura PDF'leri) fiziksel/mantıksal olarak kalıcı biçimde silinmesi - Fiziksel belgelerin evrak imha makinesiyle (shredding) yok edilmesi - İlgili yedekleme ortamlarındaki kayıtların, yedek döngüsü içinde geçersiz kılınması

3. Anonim Hâle Getirme Verinin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir. İstatistik, analitik ve hizmet iyileştirme amacıyla saklanması gereken verilerde tercih edilir. Uygulanan yöntemler: - Kimlik belirleyici alanların (ad, e-posta, telefon) çıkarılması veya geri döndürülemez özetleme (hash) ile maskelenmesi - Kayıtların toplulaştırılması (agregasyon) ve tekilleştirmeyi önleyecek genelleştirme

İmha işleminin hangi yöntemle yapılacağı, verinin bulunduğu ortam ve saklama gerekçesi dikkate alınarak belirlenir. Anonim hâle getirilen veriler bu Politika kapsamı dışına çıkar.

Verilerin güvenli saklanması ile hukuka aykırı işlenmesinin ve erişilmesinin önlenmesi için KVKK m.12 kapsamında uygun teknik ve idari tedbirler alınır:

• Aktarımda TLS/SSL şifreleme ve güvenli protokoller
• Yetki ve erişim kontrolü; verilere yalnızca görev gereği ve asgari yetkiyle erişim (need-to-know)
• İşlem güvenliği verilerinde ham IP yerine geri döndürülemez özet (hash) kullanımı ve veri minimizasyonu
• Ödeme verilerinde kart bilgisinin Platform'a hiç gelmediği, PCI-DSS uyumlu iyzico altyapısının kullanılması
• Bot ve kötüye kullanıma karşı doğrulama (captcha) ile hız sınırlama (rate limit)
• Log kaydı, düzenli güvenlik denetimi ve yedekleme
• Veri işleyenlerle gizlilik ve KVKK yükümlülüklerini içeren sözleşmeler
• Personelin/erişim yetkililerinin kişisel veri güvenliği konusunda bilgilendirilmesi

Yönetmelik m.11 uyarınca, işleme şartları ortadan kalkan ve saklama süresi dolan kişisel veriler; ilgili kişinin ayrıca bir talebi olmaksızın, resen ve tekrar eden aralıklarla imha edilir.

• Periyodik imha süresi 6 ayı geçmeyecek şekilde belirlenmiştir; imha işlemleri her yıl Haziran ve Aralık aylarında gerçekleştirilir.
• Her periyodik imha döneminde; saklama süresi dolmuş veriler tespit edilir, uygun imha yöntemiyle (silme/yok etme/anonimleştirme) işlenir.
• İmha işlemi; hangi verilerin, hangi yöntemle ve hangi tarihte imha edildiğini gösterecek biçimde kayıt altına alınır ve bu kayıtlar, aksi mevzuatta öngörülmedikçe en az 3 yıl saklanır.
• İmha yalnızca ilgili verinin bulunduğu aktif sistemlerde değil; teknik olarak uygulanabilir olduğu ölçüde yedekleme ortamlarında da yedek döngüsü içinde tamamlanır.

İlgili kişi, KVKK m.11 ve m.13 uyarınca kişisel verilerinin silinmesini veya yok edilmesini talep edebilir.

• Talep, künyede belirtilen KVKK başvuru e-postasına, KEP adresine veya posta adresine iletilebilir; hazır form için KVKK Başvuru Formu kullanılabilir.
• Başvuru, en geç 30 gün içinde sonuçlandırılır.
• İşleme şartlarının tamamı ortadan kalkmışsa, talep konusu veriler talebin alınmasından itibaren en geç 30 gün içinde silinir veya yok edilir; işlem ilgili kişiye bildirilir.
• Verinin üçüncü kişilere aktarılmış olması hâlinde, silme/yok etme işlemi aktarılan taraflara da bildirilir (KVKK m.7/2, m.11).
• İşleme şartlarının tamamı ortadan kalkmamışsa (ör. yürürlükteki bir sözleşme veya mali saklama yükümlülüğü sürüyorsa), talep gerekçe belirtilerek reddedilebilir; bu durumda veriler yalnızca ilgili amaç için ve erişim kısıtlanmış biçimde saklanmaya devam eder.

Hesap verilerinizin bir kısmına anında, kalanına ise süre içinde erişim ve dışa aktarım imkânları için Gizlilik ve KVKK Aydınlatma Metni sayfasındaki haklarınıza ilişkin bölüme bakınız.

Bazı akışlarda, hizmetin gereği olarak belge veya doğrudan iletişim bilgisi toplanır; bu verilere özel saklama-imha ilkeleri uygulanır:

• Doğrulama belgeleri (doğrulanmış kiracı / işletme sahiplenme): Kira kontratı, fatura, ofis kartı veya kimliğe ilişkin görseller yalnızca doğrulama amacıyla alınır. Doğrulama tamamlandığında, amaç gerçekleştiğinden bu belgeler azami 30 gün içinde yok edilir; doğrulama sonucu (ör. "doğrulandı" damgası) saklanmaya devam edebilir.
• Kariyer başvurusu ve CV: İşe alım sürecinin doğası gereği aday verileri açık rıza ile açık biçimde işlenir. Süreç sonuçlandıktan sonra azami 1 yıl saklanır; adayın rızasını geri çekmesi hâlinde ilk imha döneminde imha edilir.
• Bülten / ticari elektronik ileti: Çift onay (double opt-in) ile alınan rıza; geri çekildiğinde ileti gönderimi durdurulur, ancak onay/ret kayıtları İYS mevzuatı gereği belirlenen süre boyunca saklanır. Ayrıntı için Ticari Elektronik İleti Politikası sayfasına bakınız.

Bu istisnalarda dahi veri minimizasyonu esastır; amaç için gerekli olandan fazla veri toplanmaz ve süre sonunda imha uygulanır.

Saklama ve imha süreçlerinin bu Politikaya uygun yürütülmesinden veri sorumlusu bütünüyle sorumludur. Süreçteki başlıca görev dağılımı aşağıdaki gibidir:

Tüm ilgili kişiler, görevleri kapsamında eriştikleri kişisel verilerin gizliliğini korumak ve bu Politikaya uymakla yükümlüdür.

Bu Politika, başlıkta belirtilen yürürlük tarihinde yürürlüğe girer. Mevzuat değişiklikleri, denetim sonuçları veya hizmetlerdeki gelişmeler nedeniyle güncellenebilir. Güncel sürüm her zaman bu sayfada yayımlanır ve yürürlük tarihi başlıkta gösterilir. Bu Politika ile Gizlilik ve KVKK Aydınlatma Metni arasında saklama süreleri bakımından farklılık bulunması hâlinde, en güncel tarihli metin esas alınır.

Veri sorumlusuna ait tam yasal künye (unvan, VKN, vergi dairesi, adres, KEP ve başvuru kanalları) bu sayfanın altındaki Veri Sorumlusu ve Yasal Künye bölümünde yer alır.